UPKI認証連携基盤の概要

国立情報学研究所
片岡 俊幸

１．Shibbolethについて
２．Federationとは？
３．海外動向４．実証実験

１．Shibbolethについて

１－１．Shibboleth概要






米国EDUCAUSE／Internet2にて2000年に発足したプロジェクト
SAML、eduPerson等の標準仕様を利用した、認可のための属性交換を行う標準仕様とオープンソフト
最新版はShibboleth V2.0
（SAML2.0ベース、2008年3月リリース）
米国、欧州でShibbolethのFederationが運用、拡大

１－２．Shibbolethの特徴（１）属性の分散管理＝Federation
IdP（大学）がIDと属性を管理して、SPがこれを利用（２）SSO
Webサービスのシングルサインオン（３）プライバシ保護
ユーザの識別情報をIdP外部に公開しない仕組み
ユーザは各SPに対する各属性の公開を制御可能

ユーザ

SP ・ID・属性
SP ・ID・属性

IdP・ID・属性SPSSOSP

１－３．Shibbolethの基本動作
SP （電子ジャーナル、

IdP

e-Learning等）（大学）
属性の公開制御④ 認証アサーション送信⑤ 属性要求・ID・属性属性による認可判断⑥ 属性アサーション送信
送信許可
された属性

② リダイレクト③ 認証① アクセスユーザ⑦ コンテンツ送信１－４．IdP Discovery
SP （電子ジャーナル、IdP

e-Learning等）（大学）
属性の公開制御

DS Centric方式

・ID
・属性属性による認可判断

DS（Discovery Service）

SPリスト

IdPリスト
？

② リダイレクト① アクセスIdP Centric方式

ユーザ

SP Centric方式

１－５．Shibbolethの動作
SP （電子ジャーナル等）

IdP （大学）
metadata.xml idpConfig

世界標準SAML2.0によるセキュアな通信

ARP

AAP

spConfig metadata.xml

mapfilter⑤ 属性要求resolverConfig

Attribute
Authority

Attribute
RequesterAttributeAttribute
Store
Store
AuthN
AuthN
StoreStore

policyHandleArtifact
Resolution
Service⑥ 属性アサーション送信

Assertion
Consumer
ServiceResource
Resource

AuthN
認証アサー
Authority Handle

ション発行

AuthN
System③ 認証

SSO
Service

ACL
HandleResource
Manager④ 認証アサーション送信？

② リダイレクトDS

ユーザ (ブラウザ)① アクセス⑦ コンテンツ送信２． Federationとは？

２－１．UPKI認証連携基盤のアーキテ
クチャ
UPKI認証連携基盤 （UPKI-Fed）SP

電子ジャーナルＣｉＮii、・・

証明書発行
サーバ証明書、・・I

UPKIフェデレーション運営組織
・ポリシー
・システム定義
・規約

IdP

大学

大学

認証

大学

アカウント発行
無線LAN、・・

DS（ディスカバリーサービス）

UPKI-IdP

Metadata
リポジトリ

支援ポータル

・・・

認証
教員

学外、他大学からの自由で安心なアクセス・・・ ・・・
e-Learning 学内システム学会

学会

・・・

ShibbolethとPKIを利用したフェデレーション：
・ID管理工数の低減
・セキュアで個人情報を保護した安心・安全なアクセス管理

認証
学生

学会員

シングルサインオンでスムーズなアクセス

２－２．Federation概要


あるルール（ポリシー）のもとで属性交換の相互運用に合意した組織（IdP、SP）の集合
Federation運営組織が、ポリシー策定や認証局の認定、DS、メタデータDLサイトの提供を行う
世界のIdP；－ 米国： InCommon－ 英国： The UK Access
Management Federation－ スイス： SWITCHaai－ オーストラリア： MAMS、AAF

－ フィンランド： HAKA
－ フランス： CRU－ ノルウェイ： FEIDE－ デンマーク： WAYF
－ ドイツ： DFN-AAI

世界のSP；－ ScienceDirect、 Ovid Technologies、JSTOR、ExLibris、
Digitalbrain、Thomson Gale等－ Blackboard、WebCT、Moodle、OLAT、WebAssign等－ DSpace, uPOrtal, Napster, Sharepoint, Symplicity, TWiki,Zope+Plone, eAcademy等

（参考） Shibbolethの対応ｱﾌﾟﾘｹｰｼｮﾝ＊ “https://wiki.internet2.edu/confluence/display/seas/Home”より引用

２－３．Federationの構成要素


運営組織：
Federationを管理、運営する組織。

ポリシー：
Federationに加入するための条件、利用規約、信頼するCA、定義する属性等を定める。

認証局：
Federationが信頼する認証局を定める。IdP、SPはこの信頼する認証局から発行されたサーバ証明書を利用する。

属性：
IdP、SPが利用する共通の属性を定義。
eduPerson（Internet2のMACE-Dirで規定）が標準。

メタデータ：
信頼する認証局の証明書やIdP,SPの情報。

DS：
IdPディスカバリ・サービス。

２－４．FederationとPKI認証局Aの証明書
・・・
IdPの情報・IdPのサーバ証明書
・・・
SPの情報
・SPのサーバ証明書

Federation

認定

認証局A

メタデータ
metadata.xml

定期的にダウンロード

サーバ証明書発行

IdP （大学）認定

定期的にダウンロード

アサーション（認証、属性）の取得

SSL/TLS XML署名

ユーザ

サーバ証明書発行

SP（電子ジャーナル等）
SSL/TLS

SSL/TLS

認証局B

アニメーションby AAF（Australian Access Federation)Federated access management

３．海外動向３－１．SWITCH（スイス）

SWITCH（１９８７年設立）：
スイスの大学が出資するPrivate Company。
スイスの大学に、認証認可基盤を含むネットワークサービス（AAI、Grid、PKI、Mobile)を幅広く提供。
SWITCHaaiの構築（２００５－２００７）：
Shibbolethベースの認証・認可フェデレーションを構築。
スイス国内75%の大学が利用。
e-Learning利用基盤からスイス国内標準基盤へ。
今後はAAA/SWITCHを展開（２００８－２０１１）：・AAA(Auditing/Accounting/Assurance)
・Grid middleware
・VO・e-Learning３－２．SWITCHaaiのスケジュール＊ SWITCH “AAI Introductory Tutorial”より引用

３－３．SWITCHaaiの導入状況＊ SWITCH “AAI Introductory Tutorial”より引用

３－４．SWITCHaaiの属性＊ SWITCH “AAI Introductory Tutorial”より引用

３－５．SWITCHaaiのアクセス管理例＊ SWITCH “AAI Introductory Tutorial”より引用

３－６．SWITCHaaiのSP＊ SWITCH “AAI Introductory Tutorial”より引用

３－７．SWITCHaaiのツール
このSPに送付します！

あなたのこれらの情報を送付します！

送付しても良いですか？

＊ SWITCH “ArpViwer Demo”より

３－８．Inter-Federations
Federationの次は、、、Inter-Federations

米国では、InCommonとU.S. E-Authentication Identity
Federationが連携したPilot Programを実施（2006年12月）
スペイン、ドイツ、スウェーデンはフェデレーション間ブリッジを利用。
REFEDS (Research and Education Federations):
http://wiki.rediris.es/tf-emc2/index.php/Federations

米国、欧州の各フェデレーション同士で連携するための国際的な検討。
第一回：2007年9月
第二回：2008年6月

４．実証実験

４－１．実証実験について
H18年度

H19年度

H20年度

H21年度以降

シングルサインオンの海外状況調査

シングルサインオンの実現方法の検討

電子コンテンツ
シングルサインオン実証実験

シングルサインオンによる大学間認証連携の実現「 各大学の利用者が安全・安心かつ有効に学術サービスが利用できるための基盤の実証と検討を行う。」
・ 大学間を信頼でむすび、疎な連携を作る大学の連携基盤（フェデレーション）を実現したい。
・ 世界各国で利用実績のあるShibbolethを利用して、利便性、効率性を向上していきたい。
・ フェデレーションは、日本を除く世界各国の学術コミュニティで普及拡大しているため、日本でも対応が必要。

４－２．UPKI認証連携基盤の利便性実証実験で、様々な利便性を検証して、枠組みの検討・定義を行う。
シングルサインオン

個人情報保護

学術サービスの連携を促進

ユーザ中心の考え方

スムーズな学術サービス利用

漏えいリスクの低減
利用者への権限移譲

らくなID管理

安心なサービス利用

信頼基盤（フェデレーション）
疎な信頼連携オープンソース
構築費の低減学内のサービス連携を促進
学内のID管理統合
インシデント対策工数の低減

管理工数削減

いつでも、どこでも学術サービスにアクセス可能

学外での利用（リモートアクセス）４－３．実証実験モデル
Internet
Internet
自動リダイレクト

自動リダイレクト

仮想A大学

仮想B大学

EE証明書

証明書
による
認証

UPKI
オープン
ドメイン
認証局

キャンパス
認証局

キャンパス
認証局
IdP１

サーバ証明書の発行

IdP２

EE証明書

SP

証明書
による
認証

ユーザ1

DS＋
Shib-PKI
アクセス

ユーザ2

UPKI認証連携基盤の実証実験モデル

アクセス４－４．Shib-PKIモジュールの開発
IdP

Shib-PKI（大学）

SP （リソースプロバイダ）

DS⑤ 認証（DiscoveryService）④ リダイレクト③ 証明書の情報(Subject DN)② リダイレクトユーザ① アクセス

４－５．実証実験の概要
B大学

A大学

C大学
属性管理

SP

属性管理 IdP
学内認証局

属性管理

IdP

IdP

学内認証局

管理者

証明書発行

08/07

TARO SUZUKI

利用者
（A大学）

SSO

CiNii
UPKI オープン
ドメイン認証局

SSO

電子ジャーナル

08/07

利用者
（B大学）

SSO

CMS（Moodle）

認証

認証

認証

証明書発行

TARO SUZUKI

管理者

管理者

利用者
（C大学）
①利用者は各大学のIdPで認証される

SSO

CMS（Plone）

DS

IdP_00

リポジトリ

IdP_01

UPKI認証連携基盤

４－５．実証実験の概要（２）
各大学の状況を反映した実証

参加大学

IdP
構築

接続テスト

構築

接続テストSP

テスト用ID、属性を設定

各SPとの接続テスト

各IdPとの接続テスト

UPKIでの・実証実験システム
検討と提供 ・構築手順書
・VMイメージ

有効性（ユーザ、管理者）、実現性（構築、運用）の確認と実証結果の報告有効性（ユーザ、管理者）、実現性（構築、運用）の確認と実証

結果の報告

・実証実験SP・実証実験用Wiki
・各種ツール・支援、ヘルプデスク
・各種資料（事例、海外動向、運用方法）

・属性は４つ・証明書はUPKI
オープンドメイン
認証局から発行・属性の検討・証明書の検討
・各種ツールの検討
・SPの検討UPKI

UPKI オープン
ドメイン認証局

リポジトリ

IdP_00

CiNii

CMS（Moodle）

DS

IdP_01

電子ジャーナル

CMS（Plone）

・結果とりまとめ・報告会開催（参考）認証とシングルサインオンの処理の流れ

各大学の利用者

他大学の電子コンテンツ等

認証連携サーバ

所属する大学のIdP(Xdaigaku.ac.jp)

あなたはどこの誰？

(1)アクセスさせて！
(2)認証されたらね。

A大学(3)私は誰に認証してもらえばよいのでしょう？
私の持っているクライアント証明書を提示しますので教えてください。
(4)あなたの証明書によれば”X大学”が所属のようですね
http://xdaigaku.ac.jp に行って聞いてみてください。
(5)あなたの所に私の認証情報がありますよね。 私がX大学の利用者だと証明してください。
私のIDは○○で，パスワードは△△です。
TARO SUZUKI

08/07(6)確かにそうですね。 この（認証情報入りの）チケットを”アクセスしたいサイト”に渡してください。

利用者
X大学の人なら利用OK！

(7)認証されました。
アクセスさせて。
(8)どうぞご利用ください。

A大学(9)あなたのサイトにもアクセスしたい
このチケット使えますか？

C大学(10)はい。そのチケットは私も信頼するﾌｪﾃﾞﾚｰｼｮﾝ発行なので使えますよ。
(11)どうもありがとう。

シングルサインオン

電子ｼﾞｬｰﾅﾙ☆フェデレーションとは？☆
「フェデレーション」とは，あるポリシ（規程）のもとで相互に信頼し認証情報を交換することに合意した組織（サービス）の集合のことです。
各大学とサービス提供者（SP)はフェデレーションに加入することで1つの利用者IDで複数のサイトを利用することができるようになります！

４－６．UPKI認証連携基盤の構成案【方針】：「想定される具体的なサービスと連携するための最低限の構成を策定し、実証実験でこれを検証する。」
ポリシー、システム定義：
下記を案として、実証実験の中で詳細を検討していく。
（参考資料）UPKI認証連携基盤 運用ポリシー（案）（参考資料）UPKI認証連携基盤 システム定義（案）認証局：
基本は、UPKIオープンドメイン認証局として、他の商用認証局の利用も検討する。

属性：
約４０の属性を利用可能とするが、必須は下記の４つの属性とする。
① UPKI-Fed用ID （eduPersonPrincipalName）② 組織名（Home Organization)③ 所属（Organization Unit）④ 役職（eduPersonAffiliation）（参考資料） UPKI認証連携基盤 属性仕様（案）デモUPKIの実証実験システム- CiNii- DSpace- NetCommons- Plone